Mit den immer weiter steigenden Speicherpreisen und damit einhergehend teureren Tech-Produkten wird ein Blick auf Cloud-Speicher gleich doppelt interessant: Erstens hat man dort hinterlegte Daten überall dabei und zweitens kann man dadurch zu günstigeren Computern und Smartphones greifen – dank kleinerer Speicherkapazitäten. Je mehr Daten man in die Cloud auslagert, umso besser sollte jedoch der Zugang dazu gesichert werden. Im Zusammenhang mit dem Login bei Dropbox wurde jetzt eine Schwachstelle bekannt, die es erlaubte, rund 5.000 Dropbox-Konten zu hacken. Der Fehler selbst lag jedoch nicht bei Dropbox. Von knapp 1.500 wurden im weiteren Verlauf Daten heruntergeladen. Betroffene Nutzer wurden inzwischen von Dropbox informiert.


Schwachstelle in Verbindung mit Lenovo-ID
Die Ursache dafür lag genau genommen nicht bei Dropbox, sondern im Verfahren für den Single-Sign-On (SSO). Ein SSO ermöglicht es, sich mit den Zugangsdaten eines bestimmten Accounts auch bei anderen Diensten anzumelden. "Mit Apple anmelden" ist ein solches Angebot, das viele Apple-Nutzer schon einmal gesehen haben dürften. Auch Lenovo bietet einen solchen Service mit der Lenovo-ID an. Dort lag das Problem, das den Hack ermöglicht hat: Lenovo ließ die Erstellung von Lenovo-IDs zu, ohne zuverlässig zu überprüfen, ob der Nutzer bei der Registrierung tatsächlich der Inhaber des E-Mail-Accounts war, der auch die ID werden sollte. Hatte der Angreifer von E-Mail-Adressen Kenntnis, mit denen auch Dropbox-Accounts existierten, konnte er Lenovo-IDs unter den identischen Adressen anlegen – ohne Zugang auf diese haben zu müssen – und sich damit im Anschluss bei Dropbox einloggen. Weitere Voraussetzung dafür war lediglich, dass der eigentliche Inhaber des Dropbox-Accounts keine Zwei-Faktor-Authentifizierung aktiviert hatte.

Verbesserungspotenzial auch bei Dropbox
Während für die unzureichende Prüfung der Inhaberschaft der E-Mail-Adresse Lenovo verantwortlich war, sieht "The CyberSec Guru" auch einen Anteil für den Hack auf der Seite von Dropbox. Seiner Einschätzung nach hätte Dropbox beim ersten Login über den Single-Sign-On-Dienst eine zusätzliche, einmalige Verifikation über die Dropbox-Zugangsdaten durchführen sollen. Dem neuen Login wurde jedoch ohne weitere Überprüfung vertraut und die Hacker konnten die erstellten Lenovo-IDs sofort nutzen, um sich in fremde Konten einzuloggen.

Was bedeutet das für Nutzer?
Wie kann man sich vor solchen Hacks schützen? Wie immer gilt, dass es keinen absoluten Schutz gibt. In dem hier geschilderten Szenario wäre eine aktivierte Zwei-Faktor-Authentifizierung jedoch eine effektive Hürde gewesen, die die Übernahme hätte verhindern können. Sich darauf zu verlassen, kein Lenovo-Gerät zu verwenden, wäre dagegen ein Trugschluss. Das Perfide an der Lücke war gerade, dass es noch keine Lenovo-ID mit der auch bei Dropbox verwendeten E-Mail-Adresse geben durfte.